petstore-docs/架构决策-微信出站调用敏感日志边界-2026-08-02.md

架构决策：微信出站调用敏感日志边界

日期：2026-08-02
决策：微信接口异常只记录低敏诊断维度，不记录请求/响应原文
本体：rule:BR-AUTH-003

背景

jscode2session、getuserphonenumber 和 access_token 都涉及一次性 code、openid、手机号或 AppSecret。原异常分支曾把微信完整响应体或原始手机号写入日志，并把 Exception#getMessage() 拼入客户端错误文案。网络异常消息可能包含含 query 的请求 URI，从而间接暴露 AppSecret、access_token 或一次性 code；完整微信响应也可能包含手机号。

决策

1. 微信出站日志只允许 HTTP 状态码、微信数值错误码和 Java 异常类型。
2. 禁止把完整响应体、手机号、openid/unionid、access_token、AppSecret、phoneCode/jsCode、含 query 的 URL 或异常消息作为日志参数。
3. 网络或解析异常返回固定低敏文案；微信明确返回的业务错误仍可通过受控 errcode 映射成可理解提示。
4. SensitiveLoggingContractTest 扫描微信服务及相邻的身份、session、邀请和上传边界，阻止敏感变量、外部错误文案、异常消息或完整异常重新成为日志参数，并禁止把异常消息拼入客户端响应。

边界

• 该决策不降低线上可观测性；HTTP 状态、微信错误码、异常类型和现有请求级 trace 足以定位网络、凭据和 code 生命周期问题。
• 运维排障不得临时打开完整 HTTP body 或 query 日志。确需与微信支持协查时，只记录时间窗、匿名化请求关联和错误码。
• 微信真实 AppID/AppSecret 仍须在生产前轮换并由受控环境变量提供；本变更不读取、生成或验证真实凭据。